Registradora da Stone barra fraude de R$ 350 milhões

A registradora de recebíveis TAG, ligada à Stone, identificou e bloqueou uma tentativa de fraude de R$ 350 milhões no sistema de pagamentos brasileiro. Criminosos se cadastraram na rede da empresa como participantes do ecossistema de cartões e tentaram trocar a titularidade de recebíveis de grandes empresas, entre elas Uber e Netflix, redirecionando a liquidação para uma conta laranja. O caso foi revelado no dia 16 de agosto de 2026 e nenhum prejuízo financeiro foi registrado.

Os criminosos se credenciaram diretamente junto à rede da TAG. Não é necessário ser uma instituição financeira ou de pagamento para isso, e as registradoras trabalham com as informações que recebem, sem obrigação legal de verificar a veracidade dos dados cadastrados. De dentro do sistema, alteraram a titularidade de recebíveis de companhias de grande volume, algumas com operações internacionais, e orientaram que a liquidação fosse feita em uma conta laranja aberta em um grande banco digital.

"Certamente não é coisa de amador, é gente que conhece o sistema e sabia onde haveria volumes grandes de recebíveis", afirmou um observador.

O que barrou a tentativa de golpe?

A Rede, credenciadora do Itaú, identificou algo fora do padrão na conta de destino e avisou a TAG. O Sistema de Liquidação de Cartões (SLC), mantido pela Núclea, leva até dois dias para processar as operações, o que deu tempo suficiente para cancelar a tentativa em conjunto com as demais registradoras: CIP, CERC e B3. Febraban e ABBC foram comunicadas e bloquearam todas as operações afetadas nos seus associados.

A TAG informou em nota que acionou seus protocolos de segurança, interrompeu os acessos envolvidos e comunicou o caso às autoridades competentes. "Não houve impacto financeiro, liquidação indevida ou exposição de dados de clientes", afirmou a empresa.

O volume que circula por essas redes ajuda a entender o tamanho do alvo. Só no primeiro trimestre de 2026, as transações com cartões somaram R$ 1,1 trilhão no Brasil, segundo a Abecs.

O ponto frágil identificado pelo caso foi a porta de entrada do sistema, e não a tecnologia de registro em si. Quem se credencia nessas redes não precisa comprovar vínculo com estabelecimentos comerciais, e as registradoras registram as operações como verdadeiras. O setor vinha reforçando o flanco antifraude: a Núclea adquiriu a empresa de antifraude Data Rudder em julho de 2026.

O episódio mostra que fraudes financeiras sofisticadas podem usar estruturas legítimas do sistema de pagamentos como ponto de entrada. A segurança do sistema financeiro depende não apenas da tecnologia usada nas transações, mas também de controles rigorosos na entrada de novos participantes.